核心提示 當前，隨著大數(shù)據(jù)技術(shù)、數(shù)字經(jīng)濟的快速發(fā)展，數(shù)據(jù)安全治理面臨諸多挑戰(zhàn)。電力大數(shù)據(jù)數(shù)量多、涉及客戶規(guī)模大、覆蓋面廣，數(shù)據(jù)安全關(guān)系電網(wǎng)生產(chǎn)、經(jīng)營管理、客戶服務(wù)，甚至國家安全及社會穩(wěn)定，因此做好數(shù)據(jù)安全治理至關(guān)重要。電網(wǎng)企業(yè)應(yīng)從安全管理機制、合規(guī)機制、安全技術(shù)服務(wù)能力等方面入手，做好數(shù)據(jù)安全治理和防控。
企業(yè)數(shù)據(jù)安全治理面臨新的形勢和挑戰(zhàn)
隨著我國數(shù)據(jù)安全法律法規(guī)的不斷完善，以及數(shù)據(jù)流通、應(yīng)用與共享的快速推進，企業(yè)數(shù)據(jù)安全治理面臨安全合規(guī)風險增加的新形勢和安全管理機制仍待健全等一系列挑戰(zhàn)。
● 數(shù)據(jù)安全合規(guī)工作需持續(xù)完善
近年來，我國數(shù)據(jù)安全法律法規(guī)不斷完善，對企業(yè)在數(shù)據(jù)和個人信息安全保護方面的監(jiān)管要求日趨嚴格，執(zhí)法力度不斷加大。2016年以來，我國頒布《中華人民共和國網(wǎng)絡(luò)安全法》，實施《信息安全技術(shù)—網(wǎng)絡(luò)安全等級保護基本要求》國家標準，強化企業(yè)在數(shù)據(jù)安全方面的主體責任。目前，《中華人民共和國數(shù)據(jù)安全法(草案)》《中華人民共和國個人信息保護法(草案)》全文已公布，數(shù)據(jù)安全和個人信息保護立法工作已提上日程。企業(yè)的數(shù)據(jù)安全合規(guī)工作需根據(jù)國家法律法規(guī)和相關(guān)政策要求持續(xù)完善，避免給數(shù)據(jù)業(yè)務(wù)發(fā)展帶來法律風險。
● 數(shù)據(jù)安全管理機制仍待健全
數(shù)據(jù)安全管理風險是大數(shù)據(jù)應(yīng)用面臨的突出風險。企業(yè)將海量數(shù)據(jù)集中存儲，方便數(shù)據(jù)分析和處理。但數(shù)據(jù)鏈條長、暴露面廣，加大了防控數(shù)據(jù)外泄的難度，也對數(shù)據(jù)安全管理提出更高要求。許多企業(yè)在發(fā)展數(shù)據(jù)業(yè)務(wù)的過程中，存在“重業(yè)務(wù)、輕安全”的思想，人員數(shù)據(jù)安全保護意識薄弱，數(shù)據(jù)安全防護不到位，容易導致大規(guī)模數(shù)據(jù)泄露事件發(fā)生。
● 數(shù)據(jù)泄露風險不斷增加
隨著數(shù)據(jù)挖掘、機器學習、人工智能等技術(shù)的應(yīng)用，大數(shù)據(jù)分析能力進一步提升。敏感信息已能從碎片化、非敏感的數(shù)據(jù)中提取，涉及企業(yè)核心利益及國家安全的信息甚至可以從海量數(shù)據(jù)中被分析出來。此外，針對數(shù)據(jù)的網(wǎng)絡(luò)黑產(chǎn)活動專業(yè)化程度不斷提升，使得由系統(tǒng)漏洞、網(wǎng)絡(luò)攻擊等造成的數(shù)據(jù)泄露問題日趨嚴重。
電力數(shù)據(jù)安全治理和風險防控任重道遠
在“數(shù)字新基建”加快發(fā)展的背景下，電力大數(shù)據(jù)業(yè)務(wù)快速發(fā)展，電網(wǎng)企業(yè)數(shù)據(jù)開放程度進一步加大。大數(shù)據(jù)已成為電網(wǎng)企業(yè)的核心資產(chǎn)和生產(chǎn)要素。電力大數(shù)據(jù)包括營銷、財務(wù)、物資、電網(wǎng)生產(chǎn)等海量數(shù)據(jù)，數(shù)量多、客戶規(guī)模大、覆蓋面廣，一旦數(shù)據(jù)被篡改、泄露或攻擊，將會對電網(wǎng)生產(chǎn)、經(jīng)營管理、客戶服務(wù)，甚至國家安全及社會穩(wěn)定造成極大的影響。電網(wǎng)企業(yè)數(shù)據(jù)安全治理和風險防控任重道遠。
目前，國家電網(wǎng)有限公司數(shù)據(jù)安全治理和防控工作已初見成效：初步建立數(shù)據(jù)安全保護機制，印發(fā)《國家電網(wǎng)有限公司關(guān)于進一步規(guī)范數(shù)據(jù)安全工作的通知》等數(shù)據(jù)安全應(yīng)用相關(guān)規(guī)定，完成商業(yè)秘密、工作秘密和個人隱私數(shù)據(jù)、敏感事項等數(shù)據(jù)的梳理，明確數(shù)據(jù)全生命周期的安全防護要求，并建立內(nèi)部數(shù)據(jù)管控制度;不斷提升數(shù)據(jù)安全保障能力，編制數(shù)據(jù)中臺安全防護方案，配置數(shù)據(jù)分級、敏感數(shù)據(jù)識別、脫敏等安全規(guī)則;對重要數(shù)據(jù)加密傳輸、加密存儲，在數(shù)據(jù)使用環(huán)節(jié)遵循最小授權(quán)原則，結(jié)合業(yè)務(wù)場景采用脫敏、水印等手段實現(xiàn)差異性保護。
在客戶個人信息的保護方面，國家電網(wǎng)公司明確個人數(shù)據(jù)接入使用合規(guī)要求、個人信息數(shù)據(jù)收集原則，對個人信息等敏感數(shù)據(jù)進行脫敏處理，健全個人信息化保護機制。
數(shù)據(jù)安全治理需技術(shù)、管理、人才多管齊下
電網(wǎng)企業(yè)數(shù)據(jù)安全治理與風險防控工作仍處于起步階段。建議電網(wǎng)企業(yè)從健全安全管理機制、推進合規(guī)機制建設(shè)、提升安全技術(shù)服務(wù)能力及培養(yǎng)數(shù)據(jù)安全專家人才4個方面入手，開展數(shù)據(jù)安全治理和風險防控。
● 健全安全管理機制，擔起關(guān)鍵信息基礎(chǔ)設(shè)施和數(shù)據(jù)安全保護責任
應(yīng)堅持“安全分區(qū)、分類分級、依法合規(guī)”的防護原則，以法規(guī)監(jiān)管、業(yè)務(wù)需求、標準指引為出發(fā)點，統(tǒng)籌規(guī)劃，構(gòu)建覆蓋組織、策略、流程和工具的安全管理體系，既防內(nèi)又防外，對關(guān)鍵信息基礎(chǔ)設(shè)施實施重點保護。
建議電網(wǎng)企業(yè)建立權(quán)責明晰、分工合理、協(xié)同高效的數(shù)據(jù)安全管理組織體系，落實數(shù)據(jù)采集、傳輸、存儲、處理、交換、銷毀等全生命周期保護措施，規(guī)范數(shù)據(jù)分類分級，確定安全職責和權(quán)利，推進安全管理制度建設(shè);建立數(shù)據(jù)外發(fā)備案和數(shù)據(jù)安全應(yīng)急響應(yīng)機制，加強數(shù)據(jù)處理、使用、外發(fā)等安全評估，強化評估及責任追究，實現(xiàn)安全管理體系化、規(guī)范化和標準化。
● 樹立法律紅線意識，推進安全合規(guī)機制建設(shè)
電網(wǎng)企業(yè)應(yīng)緊跟國家法律法規(guī)要求，深入貫徹《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法(草案)》《中華人民共和國個人信息保護法(草案)》等相關(guān)法律法規(guī)和政策要求，加強數(shù)據(jù)安全法律意識宣貫，在數(shù)據(jù)業(yè)務(wù)發(fā)展中樹立法律法規(guī)紅線意識;深入分析數(shù)據(jù)安全案例，推進數(shù)據(jù)安全態(tài)勢預警與案例分析通報建設(shè);依法依規(guī)落實個人信息安全保護要求，合法合規(guī)獲取、使用個人信息，規(guī)范數(shù)據(jù)采集、處理、交互等環(huán)節(jié)數(shù)據(jù)確權(quán)機制，實現(xiàn)數(shù)據(jù)來源合法、處理可控、去向溯源，避免侵犯客戶個人隱私或違規(guī)獲取客戶個人信息。
● 提升數(shù)據(jù)安全技術(shù)服務(wù)能力，開展標準化統(tǒng)一管理
建議電網(wǎng)企業(yè)做好數(shù)據(jù)安全技術(shù)的頂層設(shè)計，夯實數(shù)據(jù)安全基礎(chǔ)設(shè)施建設(shè)，提升數(shù)據(jù)中臺安全防護水平，堅守“明細數(shù)據(jù)不出中臺”的原則，嚴防敏感數(shù)據(jù)泄露;加快應(yīng)用數(shù)據(jù)脫敏、水印溯源、大數(shù)據(jù)態(tài)勢感知等技術(shù)，探索研究匿名化、數(shù)據(jù)標簽、多方安全計算等應(yīng)用場景，逐步實現(xiàn)數(shù)據(jù)安全能力模塊化、標準化，并基于共享服務(wù)化的數(shù)據(jù)安全合規(guī)管控機制，打通各級數(shù)據(jù)中心，貫通數(shù)據(jù)保護環(huán)節(jié)，形成一體化運作的數(shù)據(jù)安全防護體系，實現(xiàn)安全服務(wù)能力的開放調(diào)用、策略統(tǒng)一管理、風險統(tǒng)一研判;提升數(shù)據(jù)安全監(jiān)測、攻防驗證能力，與業(yè)務(wù)場景結(jié)合，持續(xù)完善數(shù)據(jù)安全技術(shù)和工具，實現(xiàn)對數(shù)據(jù)安全技術(shù)和工具的能力驗證。
● 培養(yǎng)數(shù)據(jù)安全人才隊伍，筑牢安全防線
電網(wǎng)企業(yè)應(yīng)加強數(shù)據(jù)安全人才的引進和培養(yǎng)，以數(shù)據(jù)安全專家為骨干，結(jié)合律所合規(guī)、產(chǎn)業(yè)攻防方面人才，建設(shè)數(shù)據(jù)安全專家隊伍，強化數(shù)據(jù)安全人員履職能力和職業(yè)素養(yǎng)。同時應(yīng)促進數(shù)據(jù)安全管理部門與業(yè)務(wù)部門融合，協(xié)同推進數(shù)據(jù)安全相關(guān)工作，強化數(shù)據(jù)安全責任落實，培養(yǎng)既懂業(yè)務(wù)又懂安全的專業(yè)人才;加強公司各單位數(shù)據(jù)安全人才隊伍交流合作，建立常態(tài)溝通協(xié)助機制，形成數(shù)據(jù)安全專業(yè)人才培養(yǎng)、技術(shù)創(chuàng)新、產(chǎn)業(yè)發(fā)展的良好生態(tài)。
(作者單位：國家電網(wǎng)有限公司大數(shù)據(jù)中心)
評論